Documento · Santiago · Transparencia Municipal

Tabla 1 (página 1 (texto) · 2 filas)

MUNICIPALIDADES
Fecha : 1 8
N° Informe : 163/

Tabla 2 (página 2 (texto) · 15 filas)

SUBDIVISiÓN	DE AUDITORíA E	INSPECCiÓN
ÁR	EA DE AUDITORíA	1
REF.: 2.308/09	REMITE INFORM	E FINAL QUE
DMSAI 103/09
	SANTIAGO, 1 8.	JUN O9 * O3 :!
	Adjunto sírvase e	ncontrar copi
Final W 163 debidamente aprob	ado, sobre Audito	ría de' Sistem
efectuada en esa Municipalidad.
	Por	Orden del Con l
	PR	ISCILA JA F
		Abog o
	Subj	efe Dlvlslón Muni
AL SEÑOR
ALCALDE DE LA
MUNICIPALIDAD DE
SANTIAGO

Tabla 3 (página 3 (texto) · 22 filas)

CONTRALORíA GE	NERAL D	E LA REPÚB	LICA
DIVISiÓN	DE MUNICIPALI	DADES
SUBDIVISiÓN D	E AUDITORíA E	INSPECCiÓN
ÁRE	A DE AUDITORíA	1
REF.: 2.308/09	REMITE INFOR	ME FINAL QUE lNDIC	A
DMSAI 103/09
	SANTIAG	O, 1 8. JUN Og ., ü3	:! O3 O
	Adjunto,	sírvase encontrar c	opia del
Informe Final DMSAI N° 103 de	2009, de esta C	ontra lo ría General, con	el fin de
que, en la primera sesión que ce	lebre el Concejo	Municipal, desde la fe	cha de su
recepción, se sirva ponerlo	en conocimiento	de ese Órgano	Colegiado
entregándole copia de los mismos	.
	Al respecto	, Ud. deberá acreditar	ante esta
Contraloría General, en su calida	d de Secretario	del Concejo y m!nistro	de fe, el
cumplimiento de este trámite d	entro del plazo	de diez días de efect	uada esa
sesión.
	Por	Orden del Contralar G "erat
	PR	ISCILA JARA FUE TES
		Abogado
	Subj	efe División de Munlci lidadea
AL SEÑOR
SECRETARIO MUNICIPAL DE
SANTIAGO

Tabla 4 (página 4 (texto) · 30 filas)

REF. N" 2.308/09		INFORME FINA	L SOBRE	DE A	UDITORíA
DMSAI. N° 103/09		DE SISTEM	AS I	NFO	RMÁTICOS
A.T. N° 112/09		EFECTUADA E	N LA M	UNI	CIPALIDAD
		DE SANTIAGO.
		SANTIAGO,	1 8 JU/-!	. ?9C	9
		En cumplimient	o del P	lan	Anual de
Fiscalización aprobado	por este	Organismo de Contr	ol y de a	cuer	do con las
facultades establecidas	en la Ley 10	.336, Orgánica de est	a Institució	n, se	realizó una
auditoría de tecnologías	de informac	ión en la Municipalida	d de Santi	ago.
OBJETIVO.
		El examen reali	zado tuvo	co	mo objetivo
verificar los controles	en el proc	esamiento de datos,	en el m	ante	nimiento de
plataforma de software,	hardware y	servicios automático	s y; en el	cum	plimiento de
los contratos de sistema	s, arriendo	y/o compra de equipam	iento.
METODOLOGíA.
		La revlslon fue p	racticada	en	conformidad
con las normas y proce	dimientos a	ceptados por la Contra	loría Gen	eral,	por lo tanto,
incluyó las pruebas de	validación y	otros medios técnico	s consider	ados	necesarios
en las circunstancias.
UNIVERSO FISCALIZA	DO.
		La revisión abar	có el añ	o 20	07, a cuyo
respecto se analizaron	los aspectos	relativos a las tecnol	ogías de i	nfor	mación de la
Municipalidad.
		La revisión, en tér	minos gen	eral	es, consistió
en el análisis de los con	tratos inform	áticos, las políticas in	formáticas	, los	métodos de
integridad de datos, l	os recursos	informáticos, la valid	ez de la	infor	mación, las
salvaguardas de activos	informático	s y la efectividad de la	aplicación	de c	ontroles.
A LA SEÑORA
SUBJEFE DE LA DIVIS	iÓN DE MU	NICIPALIDADES
R E S E N T E.
JPTV/

Tabla 5 (página 5 (texto) · 36 filas)

			- 2 -
MUESTRA EXA	MINADA.
			La revisión se	efectuó sobre	el 100% de las
actividades del p	eríodo señalad	o.
			Cabe preci	sar que, c	on carácter
confidencial, me	diante oficio W	58.951,	de 15 de ener	o de 2008, fuer	on puestas en
conocimiento de	l alcalde las o	bservacio	nes comprobad	as al término d	e la visita, con
la finalidad de q	ue formulara lo	s alcance	s y precisiones	que, a su juici	o, procedieran,
lo que se concre	tó mediante ofi	cio ordina	rio W 347, de	16 de enero de	2009.
			El análisis de	las observacion	es formuladas
en el citado Prei	nforme, en con	junto con	los anteceden	tes aportados p	or la autoridad
edilicia en su res	puesta, determ	inaron lo	siguiente:
1.- ORGANIZ	ACiÓN
1.1.- Dotación	de Personal de	la Unida	d Informática.
			De acuerdo	con la informa	ción aportada
durante el proc	eso de fiscaliz	ación, no	se registran	observaciones	en el área de
Personal.
1.2.- Recursos	de plataforma	Software	y Hardware.
			Se observa au	sencia de norm	ativas formales
de mantenimien	to preventivo y	/o correc	tivo de los eq	uipos servidore	s y plataforma
municipal.
			La autoridad	municipal s	eñala en su
respuesta, que	actualmente,	se efectú	an procesos	informales de	mantenimiento
preventivo y/o co	rrectivo de sof	tware, eq	uipo central y s	ervidor de corre	os.
			Se advirtió la	ausencia de	respaldos de
perfiles de sist	emas operativ	os y pro	cedimientos f	ormales de ac	tualización de
parches de siste	ma operativo	y aplicac	iones de oficin	a; no obstante	lo cual, en la
respuesta se ap	ortan antecede	ntes de l	os que se des	prende que los	servicios de la
empresa Proexi	ayudan a regu	lar los pr	ocedimientos d	e seguridad, ra	zón por la que
no se realizan	respaldos de	perfiles d	e sistemas o	perativos. Adici	onalmente, se
realizan actuali	zaciones por	parches	a sistemas	operativos, per	o no existen
procedimientos	formales, por	ende, e	l Alcalde instr	uyó se adopte	n medidas al
respecto.
			Conforme a lo	anterior, dicha	entidad deberá
implementar las	medidas expu	estas que	tienen caráct	er de necesaria	s; conforme lo
anterior se leva	ntan las obser	vaciones	formuladas, co	nstatándose su	cumplimiento
en futuras fiscali	zaciones.

Tabla 6 (página 6 (texto) · 36 filas)

	SUBDIVI	SiÓN DE AUDIT	ORíA E INSP	E	CCiÓN
		- 3 -
1.3.- Aplicaciones	.
		Se r	ealizó un an	á	lisis median	te diagramas
de flujos de datos	y diagra	mas de entidad	- relación de		aquellos pr	ocesos cuyos
módulos fueron e	valuados	como de mayo	r riesgo, entr	e	los que s	e encuentran
contabilidad, renta	s y finan	zas, tesorería -	recaudación,		permisos de	circulación y
licencias de condu	cir. Adem	ás, se llevó a ca	bo pruebas d	e	validación	de entradas y
salidas de los reg	istros de	dichos procesos	, determinán	d	ose que los	módulos de
aplicaciones cump	len las fu	ncionalidades de	mantención,	o	peración y r	egistro de los
datos, por lo anteri	or, no se	formuló observac	iones a este r	e	specto.
2.- SALA DE L	A UNIDA	D INFORMÁTICA.
		El s	istema de c	o	ntrol de a	cceso no es
automático, lo que	disminuy	e la seguridad p	uesto que per		mite la entra	da a personal
no autorizado a la	sala don	de reside el servid	or. Además,	n	o existe reg	istro respecto
de las personas au	torizadas	a ingresar a la s	ala de informá	t	ica.
		La	iluminación	d	e las inst	alaciones es
deficiente para los	requerim	ientos y bienesta	r de los funcio		narios.
		La d	isposición de	l	equipamie	nto impide la
correcta mantenci	ón y res	ulta ineficiente r	especto de	la	utilización	del rack de
distribución de cab	les de da	tos, de energía y	de comunicac	i	ones.
		El	sistema de		aire acond	icionado no
funciona en forma	continua	y se advierte que	su estado no	e	s el óptimo.
		En la	sala de la U	n	idad de Info	rmática no se
cuenta con alarma	s específ	icas y sistemas d	e alerta en c	a	so de siniest	ro, como una
inundación, un sis	mo, entre	otros.
		La a	utoridad info	r	ma que ac	tualmente no
existen recursos q	ue el mu	nicipio pueda asi	gnar para me	j	oras de las	instalaciones,
pero que la solució	n se irá	implementando m	ediante un fi	n	anciamiento	paulatino por
prioridades de gas	tos e inve	rsiones de la adm	inistración.
		Los	argumentos		planteados	no permiten
levantar la observa	ción, tod	a vez que las me	didas para co	r	regirlas tiene	n carácter de
necesarias.
3.- SEGURIDA	D DE LA	INFORMACiÓN.
		No	existen n	o	rmativas f	ormales de
administración y	seguridad	aplicadas por	parte de los		usuarios fi	nales de los
sistemas, en relaci	ón a reali	zar cambios de cl	aves en form	a	periódica.

Tabla 7 (página 7 (texto) · 43 filas)

CONTRA	LORíA GEN	ERAL DE	LA	REPÚBLICA
	DIVISiÓN DE M	UNICIPAL	IDAD	ES
SUBD	IVISiÓN DE AU	DITORíA E	INS	PECCiÓN
		-4-
		Según an	tece	dentes aporta	dos por la
autoridad municipal, no	existen norma	tivas docu	ment	adas de adm	inistración de
claves; sin embargo, i	nformalmente s	e realizan	proc	esos de adm	inistración de
seguridad, por lo que	se mantiene l	a observac	ión	formulada en	tanto no se
implementen las medida	s respectivas, q	ue tienen ca	rácte	r de necesaria	s.
		Los archivo	s de	registros de	transacciones
(Lag), no se usan para r	evisar la integrid	ad del serv	icio	ni se ha hecho	una auditoría
de procesos para eval	uar el rendimie	nto y la cri	ticida	d de las ope	raciones más
recurrentes.
		En la respu	esta	se indica que s	e ha instruido
al Departamento de	Informática que	analice	las	rutinas para	integrar este
procedimiento de prueba	.
		Se advirtió	la	inexistencia d	e políticas y
procedimientos de regi	stro de person	al en tráns	ito	dentro de las	instalaciones
informáticas; no obstant	e, en la respues	ta se indic	a qu	e se impartirán	instrucciones
de implantación de polít	icas y procedimi	entos nece	sario	s.
		No existe p	erso	nal de segurid	ad o sistemas
de vigilancia remota par	a el control de l	as instalacio	nes	de la Unidad d	e Informática,
informándose al respect	o que, actualme	nte se ha i	mple	mentado la vigi	lancia remota
en el datacenter para el	equipo central.
		En el proc	edim	iento informal	de respaldos
de información no se re	alizan procesos	adicionale	s de	seguridad adic	ionales como
encriptación. Asimismo,	se visualiza la	ausencia	de	procesos de v	erificación de
integridad de los dat	os de los arc	hivos de	tran	sacciones his	tóricos y de
procedimientos para	desechar la	información	fí	sica de los	medios de
almacenamientos en for	ma regular.
		Finalmente	se in	dica en la res	puesta que no
existe proceso de encri	ptación debido a	que los da	tos s	e utilizan en u	na plataforma
propietaria, lo cual deter	mina que no pue	dan ser ac	cesa	dos por otro eq	uipamiento de
sistemas.
		Conforme l	os a	rgumentos exp	uestos por la
Municipalidad, se leva	ntan las obser	vaciones f	ormu	ladas original	mente, en el
entendido que se imp	lementarán efe	ctivamente	las	medidas exp	uestas, cuyo
cumplimiento se verifica	rá en futuras fisc	alizaciones.
4.- BASE DE DATOS	.
		Los dato	s r	espaldados	carecen de
encriptación y verificació	n de integridad,	lo cual red	uce	la seguridad a	l momento de
acceder los datos que	se encuentra	dentro de	los r	espaldos. Ade	más, no hay
procedimientos formale	s para elimin	ar informa	ción	física de los	medios de
almacenamiento en perí	odos de tiempo	asignados.

Tabla 8 (página 8 (texto) · 44 filas)

CO	NTRALORíA GEN	ERAL DE	LA RE	PÚBLIC	A
	DIVISiÓN DE M	UNICIPAL	IDADES
	SUBDIVISiÓN DE AU	DITORíA E	INSPEC	CiÓN
		- 5 -
		De acuerdo	con lo s	eñalado e	n la respuesta,
por política munic	ipal de informática s	e realiza al	macena	miento y	mantención de
datos históricos,	por lo que no exi	ste elimina	ción físi	ca de l	os medios de
almacenamiento.	No obstante, no se	informa s	obre la	falta de	encriptación y
verificación de inte	gridad observada.
		De acuerd	o con l	o señalad	o, se levanta
parcialmente la o	bservación, mantenié	ndose lo q	ue no fu	e contes	tado. Además,
deberá evaluarse,	en lo sucesivo, los ad	ecuados res	guardos	existente	s.
5.- REDES.
		Se verificó	la oml	slon de	procedimientos
para el análisis de	las vulnerabilidades d	e la red mu	nicipal.
		En la resp	uesta m	unicipal s	e expone que
efectivamente no	existen procedimient	os para tal	efecto,	ante lo	cual el Alcalde
impartió instruccio	nes para subsanar la	omisión, por	lo que s	e mantien	e lo observado
hasta su verificació	n respectiva en visita	de fiscaliza	ción post	erior.
6.- POLiTICAS	y REGLAS.
		Las activida	des se r	ealizan si	n estándares ni
procedimientos de	finidos formalmente, p	or el contra	rio, gran	parte de l	os procesos se
efectuaban de m	anera reactiva o d	e manera	informa	l y, gen	eralmente, sin
documentación. Ad	emás, no se aplica e	n las opera	ciones,	medidas d	e mitigación de
riesgos de fallas e	n la plataforma de so	ftware y har	dware y	al person	al municipal no
se le ha brindado	instrucción respecto	de la segu	ridad de	las inst	alaciones y del
equipamiento.
		Sobre	los	aspectos	señalados
precedentemente,	la autoridad com	unal seña	la que	el mun	icipio emplea
metodologías de tr	abajo y herramientas	de planifica	ción y c	ontrol de	actividades, no
correspondiendo q	ue el municipio entre	gue capacit	ación al	personal	que administra
la plataforma infor	mática porque son de	la empresa	externa.
		De lo ant	erior se	despren	de que en la
actualidad, existe	regulación de los ser	vicios infor	máticos	por parte	de la empresa
proveedora con la	finalidad de cumplir	con niveles	de servi	cio satisfa	ctorios para el
municipio, pero no	se advierte que exista	una contra	parte téc	nica del m	unicipio.
		Por otra p	arte, se	compro	bó la falta de
registros de incid	entes que indiquen	pérdidas d	e datos	y/o alter	aciones en el
funcionamiento de	los sistemas, bases d	e datos o i	nstalacio	nes; no o	bstante ello, de
acuerdo a lo infor	mado por el municipio,	actualmen	te se reg	istran los	incidentes que
afectan a la platafo	rma de software y har	dware.
		Según lo e	stablecid	o existen	políticas para
la regulación de la	actividad informática	, su correct	a admini	stración y	el buen uso y
aprovechamiento d	e todos los recursos i	nformáticos	de la M	unicipalida	d de Santiago;
sin embargo, las in	dicaciones que se pla	sman en el	docume	nto no se	hacen cumplir.

Tabla 9 (página 9 (texto) · 36 filas)

			Sobre lo anterior, la a	utorida	d informa que la
aplicación del d	ocumento qu	e fija las p	olíticas ha sido difícil	de cum	plir, por falta de
acogida de los	funcionarios	pero que s	e están adoptando la	s medi	das tendientes a
socializarlas pa	ra instar su c	umplimient	o futuro. Agrega, que	el cont	rato vigente con
la empresa que	administra	el equipo	central debe cumplir	con la	s exigencias del
contrato, ya que	de lo contrar	io se arries	ga a las sanciones qu	e el mi	smo establece.
			Conforme lo señal	ado e	n los párrafos
precedentes, la	s observacion	es formula	das inicialmente se e	stiman	subsanadas, sin
perjuicio que su	verificación d	efinitiva se	efectúe en una próxim	a fisca	lización.
7.- CONTRA	TOS INFORM	ÁTICOS.
			La Municipalidad de	Santiag	o, en materia de
tecnologías de i	nformación y	de comunic	aciones, mantenía a	la fech	a de la visita, los
siguientes contr	atos vigentes:
• Arriendo	de equipos co	n la Empre	sa Ipec Ltda.
• Prestació	n de Servicio	s de Admin	istración y Operación	de Inst	alación y Equipo
Computa	cional. Explo	tación y	Mantención de Siste	mas c	on la Empresa:
Proexsi L	tda.
• Servicio	Computaciona	l para Juz	gado de Policía Local	, Tráns	ito y Transporte
Público c	on la Empres	a Ipec Ltda.
			Respecto de dichos	conve	nios, que están
normados técni	camente y en	funcionami	ento, se realizaron pr	uebas	de validación de
integridad de d	atos a registr	os de pro	cesos críticos, evalua	ción d	e disponibilidad,
tiempo de res	puesta y rep	ortes de s	alida, sin que de d	ichas	comprobaciones
surgieran obser	vaciones que	formular.
			Asimismo, se dete	rminó	que existe el
resguardo perti	nente de las	boletas d	e garantía, las que	se en	cuentran al día
respecto de los	contratos con	vigencia e	n el periodo auditado.	Adem	ás, se estableció
que el pago de	los servicios e	staba al dí	a y conforme a lo pact	ado.
CONCLUSiÓN:
			En mérito de lo e	xpuest	o, la autoridad
deberá implem	entar las m	edidas te	ndientes a solucion	ar las	observaciones
planteadas en	los numerales	1.2; 2; 3;	4 y; 5 del presente in	forme,	cuya efectividad
será comprobad	a en las próx	imas visita	s que se realicen a la	Entida	d, conforme las
políticas de este	Organismo s	obre segui	miento de los program	as de f	iscalización.
			Transcríbase al Al	calde	y al Concejo
Municipal de Sa	ntiago.
			Saludaiátrntamente a	Ud.

Informe Final N° 163 de 2009

Tabla 1 (página 1 (texto) · 2 filas)

Tabla 2 (página 2 (texto) · 15 filas)

Tabla 3 (página 3 (texto) · 22 filas)

Tabla 4 (página 4 (texto) · 30 filas)

Tabla 5 (página 5 (texto) · 36 filas)

Tabla 6 (página 6 (texto) · 36 filas)

Tabla 7 (página 7 (texto) · 43 filas)

Tabla 8 (página 8 (texto) · 44 filas)

Tabla 9 (página 9 (texto) · 36 filas)